CVE-2026-34990

تصعيد الصلاحيات المحلي في CUPS 2.4.16 عبر الكتابة التعسفية للملفات من خلال CUPS_CREATE_LOCAL_PRINTER.

الثغرة

يسمح CUPS بإنشاء طابعات محلية مع تعيين device-uri إلى مسار file://. يؤدي إرسال مهمة طباعة باستخدام document-format: application/vnd.cups-raw و compression: gzip إلى قيام cupsd بفك ضغط بيانات المهمة وكتابتها مباشرة إلى ذلك المسار — بصلاحيات المستخدم الذي يعمل به cupsd (عادةً root أو حساب خدمة عالي الصلاحيات).

يمكن التقاط رمز المصادقة المحلي المطلوب لعمليات الإدارة من خلال توجيه cups-create-local-printer.test الخاص بـ ipptool إلى خادم IPP وهمي على localhost. عندما يتصل CUPS للمصادقة، يرسل ترويسة Authorization: Local <token>، والتي تعترضها قبل أن يتمكن CUPS من التحقق منها.

كيف يعمل

1. ابدأ خادم IPP وهمي على localhost:9189
2. شغّل ipptool مع cups-create-local-printer.test موجهاً إلى الخادم الوهمي — يرسل CUPS رمز المصادقة المحلي الخاص به للمصادقة
3. رد بـ 401 WWW-Authenticate: Local trc="y" على الاتصال الأول لالتقاط الرمز بشكل نظيف
4. استخدم الرمز لإنشاء طابعة مع device-uri: file:///etc/sudoers.d/<user>-pwn
5. قم بتكوين الطابعة (add/modify، accept-jobs، resume) وأرسل مدخلاً مضغوطاً بـ gzip في sudoers كمهمة طباعة
6. يقوم CUPS بفك ضغط بيانات المهمة وكتابتها إلى المسار الهدف
7. sudo -n /bin/bash

يحافظ استدعاء create_local_printer على مقبسه مفتوحاً خلال السباق — وهذا يبقي تسجيل الطابعة قيد التنفيذ بينما تصل عمليات الإدارة ومهمة الطباعة.

المتطلبات

• CUPS 2.4.16 يعمل على localhost:631
• ipptool مثبت مع cups-create-local-printer.test (تثبيت CUPS القياسي)
• cupsd يعمل مع صلاحية الكتابة إلى المسار الهدف
• Python 3.8+

الاستخدام

# writes /etc/sudoers.d/<your-username>-pwn by default
python3 exploit.py

# custom target
CUPS_TARGET=/etc/sudoers.d/youruser-pwn CUPS_ATTACKER=youruser python3 exploit.py

قم بتحرير SUDOERS_LINE في السكربت لاستخدام اسم المستخدم الفعلي الخاص بك — الافتراضي هو aporter.

يحاول الاستغلال حتى 12 مرة. كل محاولة تحذف الطابعة وتعيد إنشاءها لإعادة تعيين الحالة.

تم الاختبار على

• Ubuntu 24.04، CUPS 2.4.16

إخلاء المسؤولية

لاختبارات الأمان المصرح بها والبحث فقط.